用途
本技能用于使用 Trivy 执行容器安全扫描。Trivy 是由 Aqua Security 开发的开源安全扫描器，可检测操作系统包和语言特定依赖中的漏洞、基础设施即代码（IaC）的配置错误、暴露的密钥以及软件许可证问题。其扫描目标覆盖容器镜像、文件系统、Git 仓库和 Kubernetes 集群。
主要能力
- 漏洞检测：识别操作系统包与语言特定依赖中的漏洞。
- 配置错误检测：发现基础设施即代码的配置问题。
- 密钥检测：发现暴露的密钥。
- 许可证问题检测：发现软件许可证相关问题。
- SBOM 生成：以 CycloneDX 和 SPDX 格式生成软件物料清单，用于供应链透明度。
- 多目标支持：可扫描容器镜像、文件系统、Git 仓库和 Kubernetes 集群。
使用方式
技能描述的工作流程包括以下步骤：
- 扫描容器镜像：对来自本地构建或远程仓库的容器镜像运行漏洞和密钥扫描，可配置严重性阈值并忽略未修复的漏洞。
- 生成 SBOM：从已扫描的镜像生成 CycloneDX 或 SPDX 格式的 SBOM 文档，用于供应链合规与软件生命周期内的漏洞跟踪。
- 扫描 IaC 与 Kubernetes 清单：使用与 CIS 基准对齐的内置策略检查，检测 Dockerfile、Kubernetes YAML、Terraform 和 Helm Chart 中的配置错误。
- 集成到 CI/CD：将 Trivy 扫描添加为流水线门禁，阻止存在严重/高危漏洞的构建，为 GitHub Advanced Security 生成 SARIF 报告，并为测试仪表板生成 JUnit XML。
预期输出为 JSON 或表格报告，列出 CVE 及其严重性、CVSS 评分、修复版本、受影响的包、配置错误发现结果，以及带有文件位置的暴露密钥。
适用场景
- 执行涉及 Trivy 容器安全扫描的安全评估时。
- 遵循相关安全事件的事件响应流程时。
- 执行计划性安全测试或审计活动时。
- 通过动手测试验证安全控制时。
限制与前提条件
使用该技能需要满足以下前提条件：
- 已安装 Trivy v0.50+（可通过二进制、Docker 或 Homebrew 安装）。
- 具有用于本地镜像扫描的 Docker 守护进程访问权限。
- 具有用于远程镜像扫描的容器仓库凭据。
- 具有用于流水线集成的 CI/CD 平台（GitHub Actions、GitLab CI、Jenkins）。
- 具有用于部署 Trivy Operator 的 Kubernetes 集群（可选）。
关于收费、价格及具体安装命令等细节，资料中暂未提供。